35、AWS身份与访问管理及安全监控全解析

AWS身份与访问管理及安全监控全解析

一、身份与访问管理基础

在AWS环境中，身份与访问管理（IAM）是保障资源安全访问的关键。以下介绍几种重要的IAM概念和工具。

（一）内联策略（Inline Policies）

内联策略是嵌入在IAM主体（如用户、组或角色）或组中的一组权限。与独立于任何主体存在的AWS托管策略和客户托管策略不同，内联策略是主体本身的一部分。当你希望确保策略不会意外附加到错误的主体时，内联策略非常有用。

（二）权限边界（Permissions Boundaries）

当你将策略附加到主体以授予该主体访问权限时，该策略称为权限策略。你还可以使用策略来定义权限边界，权限边界可以限制IAM主体可以被分配的最大权限。这可以防止你因意外附加错误的权限策略而意外给予用户过多权限。

例如，创建一个允许对EC2服务执行所有操作的策略，并将其作为权限边界附加到IAM用户：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:*"
            ],
            "Resource": "*"
        }
    ]
}

如果随后将授予对所有AWS服务完全访问权限的AdministratorAccess策略附加到该用户，用户仍然只能在EC2中执行操作，因